# LE PROBLÈME FONDAMENTAL : le state Terraform contient TOUS les attributs des ressources,
# y compris les valeurs marquées "sensitive" (mots de passe, clés API...), EN CLAIR dans le JSON.

# Vérifier concrètement : un secret apparaît en clair dans le state, même s'il est masqué à l'écran
terraform show -json | grep -i password    # peut révéler des secrets si le state n'est pas protégé

# --- Règle n°1 : ne JAMAIS coder un secret en dur dans un fichier .tf versionné ---
# MAUVAIS :
resource "aws_db_instance" "mauvais" {
  password = "MotDePasse123!"              # committé dans Git = fuite garantie
}

# BON : injecter depuis une variable d'environnement ou un gestionnaire de secrets
variable "db_password" {
  type      = string
  sensitive = true
  # PAS de "default" pour un secret : force à le fournir explicitement à chaque apply
}

resource "aws_db_instance" "bon" {
  password = var.db_password
}

# Fournir le secret sans jamais l'écrire dans un fichier versionné
export TF_VAR_db_password=$(aws secretsmanager get-secret-value \
  --secret-id prod/db/password --query SecretString --output text)
terraform apply

# --- Encore mieux : lire le secret DIRECTEMENT depuis un gestionnaire, via une data source ---
data "aws_secretsmanager_secret_version" "db_password" {
  secret_id = "prod/db/password"
}

resource "aws_db_instance" "app" {
  password = data.aws_secretsmanager_secret_version.db_password.secret_string
  # Le secret ne transite JAMAIS par un fichier .tfvars ou une variable d'env visible dans les logs CI
}

# --- Protéger le STATE lui-même (là où les secrets finissent de toute façon) ---
# 1. Backend S3 avec chiffrement au repos (encrypt = true, SSE-KMS avec une clé dédiée)
# 2. Bucket JAMAIS public : bloquer explicitement l'accès public (aws_s3_bucket_public_access_block)
# 3. Permissions IAM strictes sur le bucket de state : seuls les rôles CI/admin autorisés
# 4. Versioning activé : permet un rollback si le state est corrompu ou une clé compromise à révoquer
# 5. .gitignore : ne JAMAIS committer terraform.tfstate, terraform.tfstate.backup, *.tfvars contenant des secrets

# .gitignore recommandé pour tout projet Terraform
cat >> .gitignore << 'EOF'
*.tfstate
*.tfstate.*
.terraform/
.terraform.lock.hcl.bak
*.tfvars
!example.tfvars
crash.log
EOF

# Chiffrement du state EN PLUS du chiffrement S3 (défense en profondeur, Terraform 1.10+)
# state encryption natif (expérimental selon version) : chiffre le contenu même AVANT écriture sur le backend
terraform {
  encryption {
    key_provider "pbkdf2" "ma_cle" {
      passphrase = var.state_encryption_passphrase
    }
    method "aes_gcm" "defaut" {
      keys = key_provider.pbkdf2.ma_cle
    }
    state {
      method = method.aes_gcm.defaut
    }
  }
}